La inyección de scripts Lua en la Política de Extensión de Envoy causa la ejecución arbitraria de comandos en github.com/envoyproxy/gateway

Un atacante que explote esta vulnerabilidad podría ejecutar código malicioso en el servidor donde se ejecuta github.com/envoyproxy/gateway. Esto podría resultar en el robo de información confidencial, la modificación de datos, o incluso el control total del sistema. La inyección de scripts Lua permite a los atacantes inyectar código arbitrario, lo que amplía significativamente el potencial de daño. La gravedad de esta vulnerabilidad es alta debido a la posibilidad de ejecución remota de código y el potencial de acceso no autorizado a recursos críticos. La explotación exitosa podría comprometer la integridad y confidencialidad de los datos procesados por el gateway.

Organizations heavily reliant on Envoy Gateway for traffic management and API routing are particularly at risk. This includes those deploying microservices architectures, cloud-native applications, and service meshes. Environments using custom Extension Policies with untrusted Lua scripts are especially vulnerable.

• go / server:

ps aux | grep envoy | grep -i lua

• go / server:

journalctl -u envoy -g 'lua script injection'

• generic web:

curl -I <envoy_gateway_url>/_healthcheck | grep -i lua

1. 2026-01-23Disclosure

   disclosure

1. Reservado2026-01-09
2. Publicada2026-01-23
3. Modificada2026-02-04
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar a la versión 1.5.7 de github.com/envoyproxy/gateway, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda revisar y validar cuidadosamente todos los scripts Lua utilizados en las políticas de extensión de Envoy. Implementar controles de acceso estrictos para limitar quién puede modificar las políticas de extensión puede ayudar a prevenir la inyección de código malicioso. Además, monitorear los logs del sistema en busca de actividad sospechosa relacionada con la ejecución de scripts Lua puede ayudar a detectar y responder a posibles ataques. Después de la actualización, confirme la mitigación revisando los logs del gateway y verificando que los scripts Lua se ejecuten sin errores.